پژوهشگران امنیت سایبری به تازگی پنج آسیب‌پذیری حیاتی را در Fluent Bit، ابزار سبک و متن‌باز جمع‌آوری و پردازش داده‌ها، کشف کرده‌اند. این ضعف‌های امنیتی در صورت بهره‌برداری زنجیره‌ای، می‌توانند کنترل بخش‌های کلیدی از زیرساخت‌های ابری را به مهاجمان سایبری واگذار کنند و تهدیدی جدی برای سازمان‌هایی باشند که به طور گسترده از این ابزار استفاده می‌کنند.
Fluent Bit چیست و چرا آسیب‌پذیری آن حیاتی است؟
Fluent Bit یک پردازشگر و جمع‌آورنده داده‌های لاگ (Log) و متریک (Metric) متن‌باز و بسیار سبک است که به دلیل کارایی بالا و مصرف منابع پایین، به طور گسترده در محیط‌های ابری، کانتینری و Edge مورد استفاده قرار می‌گیرد. این ابزار نقش حیاتی در جمع‌آوری، فیلتر کردن و ارسال داده‌های عملیاتی از سیستم‌ها و برنامه‌های کاربردی به پلتفرم‌های تحلیل و نظارت دارد. حضور Fluent Bit در قلب بسیاری از زیرساخت‌های مدرن، از جمله خوشه‌های Kubernetes و سرویس‌های ابری، به این معناست که هرگونه آسیب‌پذیری در آن می‌تواند به یک نقطه ورودی بالقوه برای نفوذ به کل اکوسیستم تبدیل شود. از این رو، کشف ضعف‌های امنیتی در Fluent Bit یک نگرانی بزرگ برای امنیت زیرساخت ابری محسوب می‌شود.
جزئیات پنج آسیب‌پذیری کلیدی Fluent Bit که امنیت ابری را تهدید می‌کند
پژوهشگران امنیتی این پنج آسیب‌پذیری را به شرح زیر دسته‌بندی کرده‌اند که هر یک به نوبه خود، پتانسیل تخریب قابل توجهی دارند:
CVE-2025-12972: بازنویسی فایل و اجرای کد از راه دور: این آسیب‌پذیری ناشی از عدم پاک‌سازی مناسب مقادیر برچسب‌ها (Tags) هنگام تولید نام فایل خروجی است. مهاجم می‌تواند با تزریق کاراکترهای مخرب، مسیر فایل‌های دلخواه را بازنویسی کرده، لاگ‌ها را دستکاری کند و در نهایت به اجرای کد از راه دور (RCE) دست یابد.
CVE-2025-12970: سرریز بافر پشته در افزونه Docker Metrics: مهاجمان با ایجاد کانتینرهایی با نام‌های بسیار طولانی، می‌توانند این سرریز بافر را در افزونه Docker Metrics Fluent Bit تحریک کرده و از این طریق به اجرای کد دلخواه یا از کار انداختن عامل Fluent Bit بپردازند.
CVE-2025-12978: جعل برچسب‌ها و تغییر مسیر لاگ‌ها: این نقص در منطق تطبیق برچسب‌ها به مهاجم اجازه می‌دهد تا با حدس زدن تنها اولین کاراکتر Tag_Key، برچسب‌های مورد اعتماد را جعل کند و مسیر لاگ‌ها و فیلترها را برای منحرف کردن تحلیل‌گران امنیتی تغییر دهد.
CVE-2025-12977: تزریق کاراکترهای مخرب به برچسب‌ها: با نادیده گرفتن اعتبارسنجی ورودی برچسب‌ها، این آسیب‌پذیری امکان تزریق کاراکترهای کنترلی، توالی‌های پیمایش دایرکتوری و محتوای مخرب را فراهم می‌کند که می‌تواند به دستکاری داده‌ها منجر شود.
CVE-2025-12969: فقدان احراز هویت در افزونه in_forward: نبود مکانیسم احراز هویت در افزونه in_forward به مهاجم اجازه می‌دهد تا لاگ‌های جعلی ارسال کرده، داده‌ها را دستکاری کند و با سیلابی از رویدادهای نادرست، محصولات امنیتی را فریب دهد.
پیامدهای زنجیره‌ای بهره‌برداری از ضعف‌های Fluent Bit در محیط ابری
مجموعه این آسیب‌پذیری‌ها، پتانسیل یک نفوذ چند مرحله‌ای و مخرب را به مهاجم می‌دهد. بهره‌برداری از این ضعف‌ها نه تنها می‌تواند منجر به دستکاری لاگ‌ها و پنهان‌سازی فعالیت‌های مخرب شود، بلکه می‌تواند مهاجم را قادر سازد:
در محیط ابری، پیشروی عمودی و افقی داشته باشد.
کد مخرب را در سیستم‌های حساس اجرا کند.
تلمتری جعلی ارسال کرده یا رویدادهای ساختگی ایجاد کند تا تیم‌های پاسخ‌گویی به حوادث را گمراه سازد.
اطلاعات حیاتی را افشا یا تخریب کند.
مرکز هماهنگی CERT/CC نیز با صدور اطلاعیه‌ای جداگانه، هشدار داده است که بسیاری از این آسیب‌پذیری‌ها با داشتن دسترسی شبکه‌ای به یک نمونه Fluent Bit قابل سوءاستفاده هستند و می‌توانند عواقب فاجعه‌باری از جمله دور زدن احراز هویت، اجرای کد دلخواه و ایجاد اختلال در سرویس (DoS) را به همراه داشته باشند.
راهکارهای فوری برای ایمن‌سازی Fluent Bit و حفاظت از زیرساخت‌های ابری
خوشبختانه، این مشکلات پس از افشای مسئولانه، در نسخه‌های 4.1.1 و 4.0.12 Fluent Bit که ماه گذشته منتشر شدند، رفع شده‌اند. آمازون وب‌سرویس نیز، که در روند کشف و رفع این آسیب‌پذیری‌ها مشارکت داشته است، به کاربران خود توصیه کرده تا برای برخورداری از بالاترین سطح امنیت، در اسرع وقت اقدام به به‌روزرسانی نمایند.
علاوه بر به‌روزرسانی فوری به آخرین نسخه Fluent Bit، کارشناسان امنیتی توصیه‌های زیر را برای کاهش خطرات ارائه کرده‌اند:
اجتناب از برچسب‌های پویا: برای مسیردهی لاگ‌ها از برچسب‌های پویا استفاده نشود.
محدودسازی مسیرهای خروجی: مسیرها و مقصدهای خروجی Fluent Bit به صورت سختگیرانه محدود و قفل شوند.
فایل‌های پیکربندی فقط خواندنی: اطمینان حاصل شود که فایل‌های پیکربندی Fluent Bit در حالت فقط‌خواندنی (Read-Only) قرار دارند.
اجرای سرویس با کاربر غیرریشه: Fluent Bit همیشه با حداقل سطح دسترسی و تحت کاربر غیرریشه (Non-Root User) اجرا شود.
این تحولات در حالی اعلام می‌شود که سال گذشته نیز آسیب‌پذیری دیگری در سرور داخلی HTTP Fluent Bit با عنوان "Linguistic Lumberjack" شناسایی شده بود که امکان ایجاد اختلال در سرویس، افشای اطلاعات یا اجرای کد را فراهم می‌کرد، و این خود نشان از اهمیت مداوم بررسی امنیتی ابزارهای متن‌باز پرکاربرد در زیرساخت‌های حیاتی دارد.
مطالب مرتبط
- بازگشت تهاجمی Sha1-Hulud: بیش از ۲۵ هزار مخزن npm هدف حملات مخرب قرار گرفتند
- امنیت شبکه کاردانو: بررسی معماری علمی و مقاومت بی‌سابقه در برابر تهدیدات سایبری
- موج جدید حملات ClickFix با استفاده از به‌روزرسانی‌های جعلی ویندوز اطلاعات حساس کاربران را به سرقت می‌برند
- سامانه فوریت‌های سایبری پلیس فتا در بحران؛ «زمان طلایی» مقابله با هکرها از دست می‌رود
